CVE-2026-48528

Metacat tədqiqatçıların məlumatları qorumasına, paylaşmasına və kəşf etməsinə kömək edən məlumat repozitoriyası proqram təminatıdır. Metacat versiya 2.0.0-dan 3.4.0-a qədər olan versiyalarda, təmizlənməmiş istifadəçi girişinin arxa plandakı SQL verilənlər bazasına ötürülməsi səbəbindən `/cn/v1/object` və `/cn/v2/object` REST API son nöqtələrində autentifikasiyasız SQL inyeksiyası zəifliyi mövcuddur. `nodeId` parametri SQL əmrlərini inyeksiya etmək üçün dəyişdirilə bilər və nəticələr xəta mesajlarında qaytarılır. Metacat istifadəçinin təqdim etdiyi məlumatları təmizləmə və ya parametrləşdirmə aparmadan SQL sorğusuna əlavə edir. Bu, altda yatan PostgresQL verilənlər bazasından ixtiyari məlumatların çıxarılmasına imkan verir və qorunan məlumatları tamamilə hücumçuya açır. Bu, Metacat-dakı xəta hesabat mexanizmlərindən istifadə edilərək həyata keçirilir, burada SQL xəta cavabları Metacat tərəfindən qaytarılan XML xəta mesajında çağıran şəxsə geri göndərilir. Məsələn, bir yanaşma, ixtiyari alt-sorğunun nəticələri ilə xəta yaratmaq üçün PostgreSQL `CAST` funksiyasından istifadə etməkdir ki, bu daha sonra Metacat tərəfindən qaytarılan XML xəta mesajına inyeksiya edilir. Hücumçuların hücumu yerinə yetirmək üçün autentifikasiyadan keçməsinə ehtiyac yoxdur. Bundan əlavə, Metacat verilənlər bazasında məlumatları daxil edən, yeniləyən və silən ixtiyari SQL ifadələri icra edilə bilər ki, bu da bazadakı bütün məlumatların tam kompromisə uğraması ilə nəticələnir. Bu zəifliklər üçün tam konsept sübutu (PoC) hücumları hazırlanmış və təsdiqlənmişdir. Bu zəifliyin təsiri, verilənlər bazasındakı məlumatların sızdırıla bildiyi, əlavə edilə, dəyişdirilə və ya silinə bildiyi DataONE şəbəkəsindəki Metacat tətbiqləri üçün kritikdir. Bura məlumat kataloqu haqqında idarəetmə məlumatları, məlumatlara kimin daxil olduğu barədə giriş loqu məlumatları, fərdlərin ORCID identifikatoru və müştəri IP ünvanı daxil olmaqla identifikasiyaedici məlumatları, məlumatlara kimin daxil ola və onları dəyişdirə biləcəyi barədə giriş kontrol məlumatları və məlumat sisteminin digər kritik daxili elementləri daxildir. Bu SQL inyeksiyası zəifliyi Metacat versiya 3.4.1-də tam şəkildə aradan qaldırılmışdır. Əgər Metacat 3.4.1-ə dərhal yeniləmək mümkün deyilsə, əksər tətbiqlər veb-tətbiq yerləşdirməsində `/cn` REST son nöqtələrini deaktiv etməklə problemi yumşalda bilərlər. Bu API DataONE şəbəkəsindəki üzv repozitoriyaları tərəfindən tələb olunmur və istifadə edilmir, çünki o yalnız DataONE Koordinasiya Düyünü (Coordinating Node) tətbiqləri tərəfindən istifadə olunur. Nəticə etibarilə, bu API-ni deaktiv etmək əksər tətbiqlər üçün funksionallığın azalması olmadan mümkündür. Zəif son nöqtələri deaktiv etmək üçün sadəcə iki servlet — `edu.ucsb.nceas.metacat.restservice.v1.CNRestServlet` və `edu.ucsb.nceas.metacat.restservice.v2.CNRestServlet` ilə əlaqəli servlet mühərrikində `/cn` son nöqtələri üçün servlet və servlet-mapping hissələrini silin. Məsələn, Tomcat-də Metacat-dakı tətbiqin web.xml faylından müvafiq `servlet-mapping` elementlərini silin.